Apache Tomcat の脆弱性について(CVE-2020-1938)

対象製品

内容

Apache Software Foundation が提供するApache Tomcat において、次の脆弱性が発見されました。
SVF・SPA・Dr.Sum・MotionBoard製品において脆弱性の影響を受ける可能性があります。

　・意図しないファイルを読み込んでしまう脆弱性(CVE-2020-1938)
　　⇒悪意のある第三者が AJP(Apache JServ Protocol)リクエストを送信し、Web アプリケーションのルートディレクトリに
　　　ある任意のファイルを読み取られる可能性があります。
　　　Web アプリケーションがファイルのアップロードや保存を許可している場合等では、
　　　遠隔の攻撃者により任意のコードが実行される可能性があります。

【脆弱性対象となるTomcatのバージョン】
　Apache Tomcat 7.0.0 から 7.0.99
　Apache Tomcat 8.5.0 から 8.5.50
　Apache Tomcat 9.0.0.M1 から 9.0.30

参考（外部サイト）：
　・ IPA
　　 Apache Tomcat における脆弱性（CVE-2020-1938）について
 

SVF・SPA製品に対する影響と対応方法

【影響】

CVE-2020-1938 の影響を受ける可能性があるSVF製品は、以下のとおりです。

【回避方法】

AJPプロトコルを使用していない場合
［製品インストールフォルダ］/apache-tomcat/conf/server.xmlをテキストエディタで開き、「protocol="AJP/1.3"」とあるConnectorをコメントアウトします。
変更後、製品の各サービスを再起動してください。

AJPプロトコルを使用している場合
接続可能なIPアドレスを指定(例えばループバックIPアドレス127.0.0.1)し、安全なサーバー以外から接続できないようにブロックしてください。
 

【今後の製品の対応】

製品に同梱のTomcat を修正済バージョンにアップする予定がある製品・対応時期は以下のとおりです。

Dr.Sum製品に対する影響

【影響】
CVE-2020-1938 の影響を受ける可能性があるDr.Sum 製品とその対応方法は、以下のとおりです。
なお、Dr.Sum Connect、Dr.Sum EA Connectに関しては、影響の有無を確認中です。

Dr.Sum TextOLAPおよびDr.Sum EA TextOLAPに関しては、AJPを使用していないため影響を受けません。

【対応方法】

他のWebサーバー等からの連携等でAJPを使用している場合
ファイアウォールなどを使用して、AJPで使用しているポートにWebサーバー等以外から接続できないようにブロックしてください。

他のWebサーバー等からの連携等でAJPを使用していない場合(標準)
AJPを無効にします。server.xmlをテキストエディタで開き、「protocol="AJP/1.3"」とあるConnectorをコメントアウトします。
変更後、Datalizer Serverの各サービスの再起動が必要です。

Datalizerで修正対象となる（AJPが有効になっている）server.xmlは以下のとおりです。
 

MotionBoard製品に対する影響

【影響】

CVE-2020-1938 の影響を受ける可能性があるMotionboard製品は、次のとおりです。

【回避方法】

他のWebサーバー等からの連携等でAJPを使用している場合は、ファイアウォールなどを使用して、AJPで使用しているポートにWebサーバー等以外から接続できないようにブロックしてください。
 

【今後の製品の対応】

製品に同梱のTomcat を修正済バージョンにアップする予定がある製品・対応時期は以下のとおりです。

更新履歴